Что такое аттестация рабочих мест?  

Аттестация рабочих мест (АРМ) — это проверка соответствия рабочего места требованиям безопасности и защиты информации, установленным нормативными актами. Она направлена на подтверждение, что используемые на рабочем месте технические и программные средства соответствуют нормам для обработки данных, включая конфиденциальную информацию.

Цель аттестации — минимизация рисков утечек данных, обеспечение безопасности сотрудников и соблюдение законодательных требований.

Когда необходима аттестация

Аттестация информационных систем на соответствие требованиям безопасности подразделяется на два типа: обязательную и добровольную (Приказ № 77 ФСТЭК от 29.04.2021). Обязательная аттестация проводится в следующих случаях:

• Для всех государственных и муниципальных информационных систем, таких как ФИС ФРДО, ФИС ГИА и Приема, АИСТ ГБД и другие.

• В организациях оборонно-промышленного комплекса, где функционируют системы управления производственными процессами, включая оборудование с ЧПУ.

• В помещениях, предназначенных для ведения секретных переговоров.

Добровольная аттестация проводится в следующих ситуациях:

• Для негосударственных объектов критической информационной инфраструктуры (КИИ) РФ.

• В частных компаниях, использующих информационные системы обработки персональных данных (ИСПДн).

• В автоматизированных системах управления технологическими процессами (АСУ ТП) на потенциально опасных производствах, включая химические предприятия, металлургические заводы, атомные станции и другие объекты.

Организации проходят аттестацию, если:

• Им необходимо подтвердить высокий уровень защиты информации.

• Они планируют работать с государственными структурами или партнерами, предъявляющими строгие требования к безопасности.

• Хотят обеспечить надежное хранение персональных данных клиентов.

Какими органами и документами регламентируется аттестация? 

Ответственные органы

- Федеральная служба по техническому и экспортному контролю

- Федеральная служба безопасности

Основные нормативные документы:

• Положение по аттестации объектов информатизации по требованиям безопасности информации

• Приказ ФСТЭК России от 11 02 2013 N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в  государственных информационных системах"

• Приказ ФСТЭК России от 29 04 2021 № 77 "Об утверждении Порядка организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну"

• Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К)

• ГОСТ Р 58189 2018 . "Национальный стандарт Российской Федерации. Защита информации. Требования к органам по аттестации объектов информатизации"

• ГОСТ Р 50922 2006 Национальный стандарт Российской Федерации Защита информации Основные термины и определения

Этапы аттестации рабочих мест 

 1. Проведение анализа и определение требований

На первом этапе проводится обследование рабочих мест для определения условий труда, уточняются требования для аттестации и классифицируются информационные системы.

 2. Обеспечение средствами защиты

После анализа осуществляется подбор и внедрение необходимых средств защиты, которые соответствуют выявленным потребностям.

 3. Подготовка программы и методик испытаний

Разрабатывается план испытаний и методические рекомендации, которые проходят процедуру согласования и утверждения в установленном порядке.

 4. Проведение испытаний для аттестации

 • Проверяется документация на соответствие нормативным требованиям;

 • Проводится обследование условий труда на рабочих местах;

 • Оценивается состояние и работоспособность средств защиты информации (СЗИ);

 • Проверяется наличие ответственных специалистов и уровень их компетенций;

 • Анализируются организационные меры и технические решения для обеспечения безопасности;

 • Выполняется оценка мер, направленных на предотвращение несанкционированного доступа.

 5. Подготовка заключения и протоколов

На основании проведенных испытаний оформляются протоколы и итоговое заключение. При необходимости результаты направляются в компетентные органы, такие как ФСТЭК.

 6. Выдача аттестата соответствия

По завершении всех процедур выдается аттестат соответствия, подтверждающий выполнение требований по безопасности и условиям труда.

1. Подготовительный этап: 

   - Определение перечня рабочих мест, подлежащих аттестации. 

   - Составление технического задания. 

   - Заключение договора с лицензированной организацией. 

2. Оценка состояния рабочего места:

   - Инвентаризация оборудования и программного обеспечения. 

   - Проверка технической документации и анализа соответствия нормативам. 

3. Проведение тестирований: 

   - Проверка на соответствие требованиям.

   - Анализ защитных механизмов, криптографических средств, физической защиты данных. 

4. Оформление отчетов:

   - Акт оценки состояния рабочего места. 

   - Протоколы испытаний и заключение экспертов. 

5. Сертификация и регистрация:

   - Подготовка итогового отчета. 

   - Регистрация результатов в надзорных органах (ФСТЭК, ФСБ). 

6. Рекомендации и устранение несоответствий:

   - Выдача списка мероприятий по устранению недостатков. 

   - Контроль внедрения защитных мер. 

7. Мониторинг и контроль:

   - Регулярное обновление данных и проведение повторных проверок при изменении условий. 

Преимущества проведения аттестации 

- Подтверждение соответствия требованиям; 

- снижение вероятности штрафов;

- Снижение рисков утечек или потери информации; 

- Повышение уровня доверия клиентов и партнеров. 

Аттестация рабочих мест — это важный инструмент обеспечения информационной безопасности, минимизации угроз и соблюдения нормативных требований. Она помогает организациям защитить данные и поддерживать высокие стандарты безопасности.